傳遭LockBit駭入勒索7000萬美元 台積電和供應商30日「這樣」回應
日前外媒報導傳出,台灣晶圓代工大廠台積電遭全世界最猖獗的Lockbit勒索軟體駭入,對方要求7000萬美元(約台幣21.7億)並要求於8月6日前付款,否則散布網絡入口點、密碼和登入資訊等。對此,台積電周五(6月30日)發布聲明回應,指事件為某IT 硬體供應商初始設定資料,因此不會影響台積公司生產營運,亦無台積公司客戶之相關資訊外洩。台積電鄭重否認,指出目前已知洩漏的資訊皆為該供應商協助的硬體初始設定資料,因所有進入台積公司之硬體設備包括其安全設定皆須在進廠後通過台積公司完備程序做相對應的調整。事發後,台積公司也已按照公司之標準作業程序處理,包含立即中止與該硬體供應商的資料交換,後續亦將加強宣導供應商的安全意識與確認安全標準做法。目前此駭客侵害事件已進入司法調查程序;據了解,被駭的是供應商擎昊科技,該公司也已通知台積電。據了解,台積電供應商擎昊科技也已發布聲明指出,29日上午發現公司內部特定測試環境中,遭受外部團體之網路攻擊,並擷取相關資訊,資訊內容主要為本公司為客戶提供之各式系統裝機準備資訊,因揭露之資訊中出現特定客戶之名稱,造成客戶之困擾,除先向受到影響之客戶致歉外,公司已就此次資安事件進行排查與防護強化。LockBit主要採用勒索軟體即服務模式(RaaS),透過在阻止用戶訪問系統以將部分贖金利潤支付給實施攻擊的附屬公司,它會傳播感染並加密網絡上所有可訪問的系統。據美國網路安全暨基礎設施安全局(CISA),以及來自多國的的網路安全機構,共同針對該軟體發佈的報告指出,從2020年至今,受害組織達1653個,光是計算其在美國市場的相關攻擊,不法所得便超過9100萬美元。
「勒索軟體」買賣出租成新商業模式!微軟:帳號密碼已不夠用
微軟於22日發佈了第2期的《Cyber Signals》網路威脅情報研究報告,示警「勒索軟體」的買賣或出租已成為新的商業模式,這大幅降低了勒索軟體攻擊的技術門檻,並擴大攻擊範圍。除此之外,微軟也指出,僅以帳號密碼做為單一的身份驗證已不足以抵禦勒索軟體的攻擊,建議政府及企業應盡快佈署零信任資安架構,並導入多因素身分驗證。《Cyber Signals》是微軟定期的網路威脅情報研究報告,內容包含資安趨勢以及微軟全球資安訊號和專家的見解與洞察。本期的《Cyber Signals》分析了「勒索軟體即服務」(RaaS)的新商業趨勢。簡單來說,RaaS會向買家出售或出租勒索軟體,等於為那些原本受限於技術能力與專業知識的攻擊者提供了發動攻擊所需的彈藥,並推波助瀾了勒索軟體的攻擊事件和範圍。微軟安全、合規、身份識別和管理全球副總裁傑卡爾(Vasu Jakkal)表示:「為了因應勒索軟體即服務新經濟對於政府及企業組織帶來的全新挑戰,政府和企業需要提升合作的層次,並將防禦勒索軟體攻擊列為第一優先,唯有透過更多的資訊共享及公私部門的緊密合作,才能確保全球網路用戶的安全。」微軟將提供威脅情報,並可視化勒索軟體的攻擊行動,藉由每天分析43兆筆資安訊號,以及超過8500位微軟專家(包含威脅獵捕人員、取證調查人員、惡意軟體工程師和研究人員)的智慧,使得微軟能夠在第一時間看到企業組織面臨的風險,並致力協助企業利用這些資訊預先抵禦勒索軟體的攻擊。近年來台灣各產業遭到勒索軟體攻擊的事件層出不窮。從《Cyber Signals》本期的研究可以發現,密碼被盜、系統管理權限遭竄改、資安產品未啟用或正確配置、系統或裝置設定錯誤、以及系統未定期更新是勒索軟體攻擊成功的主要因素。微軟在此份報告中也建議政府、組織及企業,除了應定期安全更新系統之外,還應該盡快部署多因素驗證的身份識別機制,不然僅以帳號密碼做為單一的身份驗證已不足以抵禦勒索軟體的攻擊。
遭駭不重訊4/製造業資安太脆弱 立委:國家隊要動起來
台灣最重大的資安事件發生在二○一八年八月,受害者還是「護國神山」台積電。當時由於一名操作人員未依照SOP掃毒新進機台,導致名為「WannaCry」的勒索軟體趁隙侵入,造成三大廠區部分機台停擺三天,損失高達新台幣五十二億元。台積電二〇一八年發生新機台被勒索軟體入侵危機,所幸在四十五小時內就處理妥當。(中)台積電總裁魏哲家(圖/報系資料庫)一名資安人員感嘆,許多製造業大喊「工業四.○」口號的同時,卻仍把老舊設備系統連上網,這就是悲劇的開始,「因為這些老舊的設備系統,真的很脆弱,相當容易被發現資安漏洞。很多台灣企業只顧著賺錢,而罔顧建置資安設備,維護資安對他們來說,就是成本的額外支出。」立委高虹安指出,自去年新冠疫情爆發後,線上購物、宅經濟、雲端等服務倍增,卻也讓駭客有了可乘之機,甚至有駭客組織提供「勒索軟體即服務」(RaaS)的攻擊服務,大肆招攬生意。2018年,台積電的新進機台中藏有WannaCry勒索軟體(圖),導致3大廠區停擺,損失52億元。(圖/讀者提供)高虹安呼籲,行政院既然在去年底已成立「資安國家隊」,就應該盡速針對勒索軟體氾濫的問題,提出解決方案,如果不快點動起來,勢必嚴重影響高科技產業的發展,駭客攻擊除了會損害企業商譽而失去訂單,也會造成股價波動,影響民生經濟。